bezpecnost include

ten příklad je v pořádku - <?php include "slozka/menu.php"; ?> - je to vnitřní příkaz na webu.

Nebezpečné je, když se posílá hodnota include v proměnné adresou:
<a href="index.php?stranka=neco.php">
a použije se jako: <?php include ($stranka); ?>
tam je potřeba ověřit, zda se nebude includovat cizí skript - teda, jestli se použije ten správný.

No, přesně, to už chce ověřít soubor v podmínce přes file_exists ()
a určit výchozí alternativu, když je v proměnné něco nežádoucího, nebo když neexistuje, třeba:

$url="soubory/".$_GET["stranka"].".php"; // udělám si šablonu cesty
if (file_exists($url)) { include ($url); } // ověření a vložení
else { include ("soubory/uvod.php"); } // výchozí soubor

odkaz: <a href="index.php?stranka=neco">
<!-- jen název bez koncovky -->

... to je jen jedno, jednoduché řešení pro načítání z jednoho adresáře, vynalézavosti se meze nekladou. A ještě to jde switchem.

Asi už jsi to po ránu objevila - měl jsem tam chybu, na řádku else nebyly uzavřené složené závorky. Omlouvám se, správně je:

else { include ("soubory/uvod.php"); }

A obsah stránky definované řádku else to vloži?
... aneb, adesa v řádku else je správně (vzhledem ke stránce v prohlížeči)?

yenna
1. v prvni rade, kdyz neco delas v PHP, tak je dulezite si zapnout hlaseni chyb.
error_reporting(E_ALL); //hlaseni chyb = on, zakomentovat!
ktere po skonceni projektu zakomentujes, aby se pripadnemu utocnikovi neobjevila nejaka chybova hlaska.

2. v tom okamziku ti to zacne hlasit na radku
$url="soubory/".$_GET["$stranka"].".php";
chybu, protoze GET by mel byt osetreny na pripad, kdy nedostane zadna data
To osetreni provadim timto zpusobem:
$a = "stranka"; $x = isset($_POST[$a]) ? $_POST[$a] : (isset($_GET[$a]) ? $_GET[$a] : "");
(tady treba resim POST i GET, nejsem si ted jisty, co mi to provede, jestlize budou zapnute superglobalni promenne)

3. Jenze stale muze nastat pripad $x = ""; cili zadne GET ani POST a
include ("soubory/"."".".php");
tim padem zahlasi chybu.
V tomto pripade to osetruji tak, ze pouziji if
if ($x!=="") {include(...);}

4. ok, takze POST nebo GET bude, ale ted se utocnik pokusi podvrhnout stranka=index nebo nejakou jinou, treba neexistujici
Protoze je to dulezita cast scriptu, tak tady si nedovolim utocnikovi davat jedinou mezirku a osetrim to pres pole hodnot.
$stranky = array("stranka","index","kontakty");
if (in_array($x,$stranky)) {include(...);}
Nebo je mozne pouzit script s existenci souboru, viz havs, ale je treba pocitat s tim, ze se nekdo pokusi podvrhnout treba "index"

Cili v tvem pripade by to vypadalo:
$a = "stranka";
$x = isset($_POST[$a]) ? $_POST[$a] : (isset($_GET[$a]);
$stranky = array("stranka","index","kontakty");
if (in_array($x,$stranky)) {include("./soubory/$x.php);}

Vyhodou hlaseni chyb je, ze te upozorni na promenne, ktere v nejake situaci nemaji zadnou hodnotu. Coz ve vetsine situacich je dost neprijemne.
Ale treba v pripade superglobalnich promennych se uvazuje
$a == $_GET["a"] == $_POST["a"] == $_COOKIES["a"] == $_SESSION["a"]
mam pocit
a v tomto pripade uz je to velice vyznamne, protoze zdanlive neskodny program
echo $_SESSION[$a]
kdy treba $a naplnujes jen v nekterem pripade
se ti muze promenit na velice skodny pouzitim:

./stranka.php?a=heslo
superglobalni promenne budou mit vsechny stejnou hodnotu
$a = $_GET["a"] = $_POST["a"] = $_COOKIES["a"] = $_SESSION["a"];
echo $_SESSION[$a];

a to uz mi prijde docela vyznamne, kdyz si cizi clovek muze zobrazit heslo nekoho, kdo si prave odskocil na kafe a zapomnel se odhlasit

yenna: koukni se na tento thread: http://diskuse.jakpsatweb.cz/index.php?action=vthread&forum=9&topic=37 923&page=1 je tam několik způsobů bezpečného includování souboru, kdyby Ti něco nebylo jasné tak se ozvi :-D
krteczek

Je tam zmínka o switchi, není to špatný způsob, sám to používám, protože mívám soubory rozstrkané po různých adresářích.
Zadá se pro každou stránku zvlášť jméno a adresa souboru - vzájemně spolu nesouvisí - a nakonci výchozí stránka. Includují se jen tady povolené soubory.

<?php
switch ($_GET['stranka'])
{
case "galerie": $nacti = "fota/galerie.php"; break;
case "vzkazy": $nacti = "kniha/nacti.php"; break;
default: $nacti = "soubory/uvod.php"; break;
}
include ($nacti);
?>

<a hef="index.php?stranka=galerie">

hustý, jakmile se na něco zeptá začínající PROGRAMÁTORKA, tak je tu milion odpovědí. jen dodam, že muj šéf už pekelně dlouho čeká na to, až mu na pohovor na místo PHP dev příde nějaká holka )))